CVE-2025-47279

lowPriorität · verfolgen · 0EPSS 0.003 · 27. PerzentilDEEURUUS

grimoire priorityP3 · Track

Exploitable?

—

no known exploitation

Likely / severe?

0.34% (27th) EPSS

CVSS 3.1 · low

Is it mine?

15 products

Prüfe deine Angriffsfläche

Who says so?

5 sources

cnnvd · enisa_euvd · fstec_bdu · cert_bund

EPSS · bewertet 2026-10-27

Undici is an HTTP/1.1 client for Node.js. Prior to versions 5.29.0, 6.21.2, and 7.5.0, applications that use undici to implement a webhook-like system are vulnerable. If the attacker set up a server with an invalid certificate, and they can force the application to call the webhook repeatedly, then they can cause a memory leak. This has been patched in versions 5.29.0, 6.21.2, and 7.5.0. As a workaound, avoid calling a webhook repeatedly if the webhook fails.

cvss

Technischer Schweregrad, 0–10. Eine Zeile je Quelle.

3.1

010

Basiswert 0–10 · höher = schwerwiegender · Vektor überfahren zum Auflösen

v3.13.1lowAV:N/AC:H/PR:L/UI:N/S:U/C:N/I:N/A:Lsecondary · FSTEC (BDU) RU

v3.13.1lowCVSS:3.1/AV:N/AC:H/PR:L/UI:N/S:U/C:N/I:N/A:Lsecondary · ENISA EU

v3.13.1lowCVSS:3.1/AV:N/AC:H/PR:L/UI:N/S:U/C:N/I:N/A:Lsecondary · security-advisories@github.comAusnutzbarkeit 1.6 · Auswirkung 1.4

v3.13.1lowCVSS:3.1/AV:N/AC:H/PR:L/UI:N/S:U/C:N/I:N/A:Lsecondary · OSV

v3.12.9lowCVSS:3.1/AV:N/AC:H/PR:L/UI:N/S:U/C:N/I:N/A:L/E:Usecondary · CVSS-BT (t0sche)

SSVC

Eine Handlungsentscheidung — aus Ausnutzung und Auswirkung.

Exploitation: poc · Automatable: no · Technical Impact: partialcoordinatorcisa_ssvcUS

schwächen

Die CWE-Schwächeklassen, zu denen dies gehört.

CWE-401USCWE-401USCWE-401US

betroffene Produkte (15)

Betroffene Produkte und Versionsbereiche.

IBM App Connect Enterprise Certified Container Operator LTS <12.0.11alle Versionencert_bundDE
IBM App Connect Enterprise Container Operator <12.10.0alle Versionencert_bundDE
IBM App Connect Enterprise≤ Container Operator <12.10.0cert_bundDE
IBM App Connect Enterprise≤ Certified Container Operator LTS <12.0.11cert_bundDE
nodejs undici≤ < 5.29.0enisa_euvdEU
nodejs undici6.0.0, → 6.21.2enisa_euvdEU
nodejs undici7.0.0, → 7.5.0enisa_euvdEU
Jenkins NodeJS≤ 22.19.0fstec_bduRU
Node.js Foundation Undici≤ 7.5.0fstec_bduRU
Node.js Foundation Undici≤ 6.21.2fstec_bduRU
Node.js Foundation Undici≤ 5.29.0fstec_bduRU
ООО «Ред Софт» РЕД ОС≤ 8.0fstec_bduRU
npm undici< 5.29.0osvUSpkg:npm/undici
npm undici6.0.0 → 6.21.2osvUSpkg:npm/undici
npm undici7.0.0 → 7.5.0osvUSpkg:npm/undici

Advisories (2)

Hersteller- und Ökosystem-Meldungen dazu.

WID-SEC-W-2025-1101IBM App Connect Enterprise: Schwachstelle ermöglicht Denial of ServiceDeutsch2025-05-19csaf · cert_bundDE
Ein entfernter, authentisierter Angreifer kann eine Schwachstelle in IBM App Connect Enterprise ausnutzen, um einen Denial of Service Angriff durchzuführen.
GHSA-cxrh-j4jr-qwg3undici Denial of Service attack via bad certificate data2025-05-15ghsa · osvUS
### Impact Applications that use undici to implement a webhook-like system are vulnerable. If the attacker set up a server with an invalid certificate, and they can force the application to call the webhook repeatedly, then they can cause a memory leak. ### Patches This has been patched in https://github.com/nodejs/undici/pull/4088. ### Workarounds If a webhook fails, avoid keep calling it repeatedly. ### References Reported as: https://github.com/nodejs/undici/issues/3895

auch bekannt als (4)

Weitere Namen und Kennungen dieser Entität.

quellen

Welche Quellen diesen Datensatz belegen und wann.

cnnvd enisa_euvd fstec_bdu cert_bund osv NVD CVE.org MITRE

veröffentlicht 2025-05-15geändert 2026-09-17

Referenzen (12)

Externe Belege — Patches, Meldungen, Analysen.

scry

Angreifer nutzen Schwachstellen wie diese gegen im Internet exponierte Dienste aus. Sehen Sie mit einem kostenlosen Passiv-Scan, was exponiert ist.

Kostenloser Scan